“LA CONOSCENZA DEL DIRITTO DELL’UNIONE EUROPEA COME STRUMENTO DI
CONTRASTO ALLA CRIMINALITA’ ORGANIZZATA TRANSNAZIONALE”
Le prassi applicative in materia di reati connessi alle procedure di insolvenza e di amministrazione di
beni sequestrati e confiscati alla criminalità nel rapporto tra norme nazionali e comunitarie
Roma, 13 Giugno 2012
I contenuti della relazione sono di responsabilità dell’autore e non rispecchiano necessariamente la visione della
Commissione Europea
*****
- L’Intervento della scrivente, di seguito riprodotto, ha affrontato il tema del Diritto dell’Unione europea
relativamente alla protezione dei dati personali nell’ambito del contrasto alla criminalità transfrontaliera
*****
Isabella Lucati, Avvocato in Roma
Il rapido sviluppo del processo di globalizzazione investe inevitabilmente il fenomeno della
criminalità che, varcando i confini territoriali, potrebbe giovarsi dei conflitti emergenti nel sovrapporsi
delle discipline particolari degli Stati.
La delicatezza della situazione rappresentata spinge quelli appartenenti alla Unione europea a forme
di cooperazione transfrontaliere, in vista di trovare strumenti capaci di offrire una più efficace
prevenzione o repressione dei reati.
Nel quadro della condivisione delle politiche di contrasto ai crimini si pongono in evidenza, però, una
serie di problematiche legate alla ricerca di modalità di attuazione compatibili con le libertà civili.
In specifico, il coordinamento tra le diverse Autorità nazionali non può prescindere da uno scambio di
informazioni volto a migliorare il contesto in cui si colloca l’attività giudiziaria e di polizia dei singoli
Paesi1.
In quest’ottica le finalità di giustizia, pur richiedendo risposte rapide in grado di assumere una
dimensione sopranazionale, presentano nel trattamento dei dati personali notevoli criticità ed elementi
di rischio da necessitare stringenti cautele.
Si deve, qui, ricordare che nel bilanciamento di contrapposti interessi quello collettivo alla legalità
deve, comunque, essere calmierato attraverso il filtro del diritto alla riservatezza dell’individuo.
Soccorre, nel senso richiamato, il pieno riconoscimento offerto in sede europea alla protezione dei dati
di carattere personale dalla “Carta dei diritti fondamentali dell’Unione europea” agli articoli 7 e 8 2.
Per tal via, va osservato come servano soluzioni in grado di non compromettere l’equilibrio tra
l’esigenza di tutela delle persone tanto uti cives, tese al generale bisogno di prevenire attività illecite,
quanto uti singuli, dirette alla protezione della sfera privata.
L’enorme potenzialità di un’azione congiunta nella lotta alla criminalità adottata a livello paneuropeo
non può, infatti, portare a sottovalutare il rischio di derive illiberali legate alle aberrazioni di forme di
controllo esasperate.
Ne discende la ricerca di un meccanismo diretto a migliorare lo scambio transfrontaliero dei dati che
deve raggiungere il suo diapason nel rispetto dei diritti individuali dei soggetti coinvolti.
L’accresciuta consapevolezza del diritto alla privacy necessita, così, di specifici standard di tutela,
soprattutto in ragione dell’insufficienza della Direttiva 95/46/CE che, cardine del sistema europeo di
1
2
Art. 30, paragrafo 1, lettera b) e art. 31, paragrafo 1, lettera a) del Trattato sull’ Unione europea
G. U. C. E. 200/C- 364 /01
tutela dei dati personali, non trova tuttavia applicazione in materia di diritto penale e di pubblica
sicurezza3.
In termini è intervenuta la Decisione quadro 2008/977/GAI4 con l’obiettivo di stabilire norme comuni,
cui gli Stati membri sono chiamati a conformarsi5, sulla riservatezza nell’ambito della prevenzione,
dell’accertamento o perseguimento dei reati.
Nell’idea degli estensori della disposizione vi è sicuramente di assicurare, in seno all’Unione, un
elevato livello di protezione dei diritti e delle libertà fondamentali delle persone fisiche, con riguardo al
trattamento dei dati personali nella cooperazione giudiziaria e di polizia in materia penale, senza
compromettere nel contempo un elevato livello di sicurezza pubblica.
Naturalmente rimane impregiudicata la possibilità per le singole nazioni di adottare, in forma
autonoma, garanzie più elevate di quelle cristallizzate nella Decisione.
L’ambito di applicazione involge, comunque, i soli dati oggetto di trasmissione transfrontaliera, o resi
disponibili a tal fine, non rilevando quelli trattati esclusivamente a livello nazionale.
Per una migliore comprensione la statuizione comunitaria fornisce una serie di definizioni tese ad una
chiara individuazione dell’oggetto del trattamento e delle modalità di attuazione nonché dei soggetti
coinvolti.
Punto di partenza inevitabile per tale elencazione risulta, senza dubbio, la descrizione di “dato
personale” che, nel testo, ricalca sostanzialmente quella richiamata nella Direttiva 95/46/CE.
3
Art. 3 Direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995 relativa alla tutela delle persone fisiche con
riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati, in Gazzetta ufficiale dell’ Unione europea L 281 del
23.11.1995
4
Decisione quadro 2008/977/GAI del Consiglio del 27 novembre 2008 sulla protezione dei dati personali trattati nell’ambito della
cooperazione giudiziaria e di polizia in materia penale, in Gazzetta ufficiale dell’Unione europea L 350 del 30.12.2008
5
La Decisione quadro, come strumento giuridico, non ha efficacia diretta, pur tuttavia vincola gli Stati membri per quanto il risultato da
raggiungere, salva restando la competenza degli organi nazionali in merito alla forma e ai mezzi.
La locuzione in parola fa riferimento a “qualsiasi informazione concernente una persona fisica”, in
qualsivoglia modo identificata o identificabile, rimanendo esclusi solo quei dati che non possono essere
associati ad un interessato.
Ciò che costituisce l’oggetto della tutela non è, quindi, la riservatezza in senso stretto, bensì, con un
ambito di applicazione estremamente vasto, l’uso del dato, qualunque natura esso abbia, se riferibile a
persona fisica.
Con la medesima ampiezza definitoria, si considera trattamento non la sola elaborazione, ma ogni
operazione effettuata sui dati, avvenga essa con mezzi informatici o meno.
Sotto il profilo oggettivo vengono, tra gli altri, individuati il “Responsabile” e l’“Incaricato”, con profili
di disciplina che mostrano discrasie di contenuto con la normativa italiana.
In particolare, la figura definita come Responsabile mal si concilia con quella che porta lo stesso nomen
nel nostro ordinamento6, avendo, invece, caratteri simili a quella del Titolare7, con cui condivide la
capacità di determinare finalità e strumenti del trattamento.
Relativamente alla figura dell’Incaricato, le sue attribuzioni coincidono, per lo più, con quelle previste
dal sistema italiano8, discostandosene in modo sostanziale, tuttavia, nel riferimento a “qualsiasi
organismo”, e non alle sole persone fisiche, quali soggetti idonei ad espletarne le funzioni.
Rimanendo nel contesto delle definizioni, le “Autorità competenti” sono individuate nelle agenzie
istituite mediante atti adottati dal Consiglio, nonché nelle autorità giudiziarie, doganali, di polizia e
nelle altre autorità competenti degli Stati membri, autorizzate in tal senso dalla legislazione nazionale.
6
Articolo 4, comma 1, lettera g) del D.lgs. 30 giugno 2003 n. 196 “…la persona fisica, la persona giuridica, la pubblica amministrazione e
qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali”.
7
Articolo 4, comma 1, lettera f) del D.lgs. 30 giugno 2003 n. 196 “…la persona fisica, la persona giuridica, la pubblica amministrazione e
qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisione in ordine alle finalità, alle
modalità di trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”
8
Articolo 4, comma 1, lettera h) del D.lgs. 30 giugno 2003 n. 196 “ …le persone fisiche autorizzate a compiere operazioni di trattamento
dal titolare o dal responsabile”
Questi soggetti istituzionali, nello svolgimento dei loro compiti, possono raccogliere dati personali
soltanto per finalità specifiche, esplicite e legittime, con un trattamento da effettuarsi in conformità ai
principi di legalità e adeguatezza.
Nondimeno, vengono richiamati il principio di pertinenza, secondo cui il trattamento deve essere
funzionale alle finalità perseguite, e il principio di non eccedenza delle informazioni raccolte, che limita
il trattamento, sempre con riferimento alle finalità, a quei dati da soli sufficienti al loro conseguimento.
Seguendo il filo logico di queste considerazioni, il trattamento nell’ambito del contrasto alla criminalità
transfrontaliera, per ritenersi lecito, deve essere effettuato secondo correttezza e non può prescindere da
una valutazione sul piano della proporzionalità, risultando illegittimo qualora esorbitante gli scopi
perseguiti.
La Decisione in narrativa precisa, altresì, che il trattamento ulteriore dei dati per scopi storici, statistici
o scientifici non è incompatibile purché gli Stati membri forniscano garanzie appropriate.
Scorrendo ancora il testo europeo, nel caso di dati inesatti ovvero incompleti al responsabile viene
richiesto di adottare ogni misura ragionevole per rettificarli o aggiornarli.
Ciò in considerazione delle possibili conseguenze pregiudizievoli che potrebbero derivare
all’interessato da informazioni che lo riguardano non corrette o relative ad avvenimenti risalenti nel
tempo.
Laddove non più necessari, inoltre, i dati personali dovranno essere cancellati o resi anonimi, mentre è
previsto il solo blocco qualora vi siano motivi per ritenere che la cancellazione possa compromettere gli
interessi legittimi di coloro cui, gli stessi, si riferiscono.
Ricade, vieppiù, in capo alle Autorità competenti l’obbligo di compiere periodiche e sistematiche
verifiche dirette ad assicurare la qualità delle informazioni in ordine al livello di esattezza, completezza,
aggiornamento e affidabilità nonché la continua strumentalità delle operazioni di trattamento.
Il trasferimento dei dati, o meglio la trasmissione, per rimanere aderenti alla terminologia utilizzata
dalla Decisione, da un Paese all’altro dell’Unione europea è consentita senza particolari restrizioni nel
caso gli stessi vengano trattati in conformità alle finalità per cui sono raccolti.
In difetto di tale requisito, la comunicazione dovrà essere giustificata dalla necessità di contrasto alla
criminalità con riferimento al perseguimento di reati e all’esecuzione di sanzioni penali anche diversi da
quelli per cui i dati sono stati resi disponibili o per procedure giudiziarie e amministrative direttamente
collegate alle richiamate attività nonché per la prevenzione di gravi e immediate minacce alla sicurezza
pubblica ovvero per qualsiasi altra finalità, previa autorizzazione dello Stato membro che li ha trasmessi
o con il consenso della persona interessata.
Il descritto meccanismo non si applica al trasferimento fuori dall’Unione europea, ove sono richiesti
adeguati livelli di sicurezza in capo al Paese terzo ed il consenso dello Stato membro presso cui i dati
sono ottenuti.
I parametri per valutare la richiamata adeguatezza fanno, in particolare, riferimento alla natura dei
dati, alle finalità e durata del trattamento previsto, alle norme di diritto generali o settoriali del Paese
terzo nonché alle misure di sicurezza che si applicano.
Quadro di disciplina che non opera solo a condizioni esplicitamente articolate, legate alla necessità di
immediatezza del trattamento ovvero alla cogenza di interessi legittimi degli individui cui il trattamento
è riferito o dei Paesi coinvolti nella comunicazione.
In ragione, poi, degli effetti potenzialmente pericolosi per la riservatezza delle persone interessate,
sottesi ad un uso percepito come indiscriminato dei propri dati, sono stabiliti in loro favore una serie di
diritti.
In questo senso, è riconosciuta loro la facoltà di accedere, senza costrizioni, ritardi o spese eccessive,
alle informazioni relative al trattamento dei propri dati e ai destinatari della loro comunicazione nonché,
se del caso, di avere riscontro ad istanze di rettifica, cancellazione o blocco.
Le legislazioni particolari dei singoli Stati membri possono, comunque, a mente della Decisione,
prevedere deroghe al diritto di accesso al fine di non compromettere indagini, inchieste o procedimenti
ufficiali o giudiziari, come anche la prevenzione, l’accertamento o il perseguimento dei reati nonché
per proteggere la sicurezza pubblica e la sicurezza dello Stato oltre quella della persona interessata e dei
diritti e libertà altrui.
Per contemperare tale ampiezza nella limitazione del diritto, qualsiasi rifiuto o restrizione in merito
alla richiesta dell’interessato dovrà essere obbligatoriamente e senza eccezioni comunicata per iscritto.
Nondimeno, nei casi sopra richiamati, non potranno essere comunicati i motivi di fatto e di diritto che
al rifiuto hanno condotto, dovendo essere data notizia esclusivamente della possibilità di presentare
ricorso presso gli organi nazionali ad esso deputati.
Sulle Autorità nazionali competenti ricade, inoltre, un obbligo di informazione agli interessati
relativamente alle attività di trattamento in essere o alla trasmissione dei dati ad altro Stato membro.
Le forme, il contenuto, il metodo e le deroghe rispetto tale onere sono determinate a livello nazionale
mediante l’adozione di un atto interno teso a regolamentare l’operatività, con l’inevitabile conseguenza
di un’applicazione lasciata all’autonoma determinazione degli Stati.
La somma delle misure che precedono descrive lo sforzo del legislatore comunitario di garantire un
elevato livello di sicurezza ai cittadini europei senza rinunciare ad una profonda attenzione verso i
diritti fondamentali degli individui.
Lo sviluppo di forme condivise di contrasto alla criminalità, infatti, per non incidere negativamente sui
soggetti coinvolti, richiede una spinta decisa nella realizzazione di un regime globale di protezione dei
dati personali.
La Decisione in commento rappresenta, quindi, la scelta dell’Unione europea verso l’elaborazione di
un sistema normativo in grado di offrire, nell’ambito della cooperazione penale, una tutela del diritto
alla riservatezza comune a tutti gli Stati membri.
Non deve, tuttavia, essere omesso come tale tentativo di una disciplina organica sulla privacy, pur
potendo rappresentare il volano per un nuovo e più efficace intervento, appaia allo stato non
completamente riuscito.
Nonostante l’attenzione dedicata alla protezione dei dati personali permangono, infatti, diversi aspetti
problematici che stimolano ad un ulteriore approfondimento, in vista di chiarire la portata di quei profili
apparsi non adeguati ad una minimizzazione dei rischi o non immediatamente intelligibili.
Profonde criticità involgono, in particolare, il contesto di applicazione della Decisione che, come detto,
rileva nei confronti dei dati oggetto di trasmissione tra Stati membri e non delle operazioni di
trattamento effettuate a livello nazionale.
Sul punto, alcuni Paesi9 hanno rappresentato la difficoltà di stabilire, nella pratica, una differenza tra il
trattamento transfrontaliero e quello a livello nazionale, evidenziando la complessità di applicare norme
diverse agli stessi dati personali.
Dubbi e osservazioni hanno investito anche le norme sui trasferimenti internazionali, per la necessità
di prevedere un livello adeguato e più uniforme di protezione per i trasferimenti di dati verso Paesi
terzi10.
In tal prospettiva si è, peraltro, avuto modo di sottolineare come l’assenza, nel testo della Decisione, di
specifici criteri per determinare il livello adeguato di protezione offerto da un Paese terzo sia fonte di
problemi, in quanto comporta un’applicazione diversa nei vari Stati membri11.
9
Italia e Paesi Bassi, fonte “Relazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e
al Comitato delle regioni” basata sull’articolo 29, paragrafo 2, della decisione quadro del Consiglio del 27 novembre 2008 sulla
protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale, redatta a Bruxelles in data
25.01.2012
10
Italia, vedi nota n. 9
11
Paesi Bassi, vedi nota n. 9
Ulteriori questioni sono state sollevate in merito alla necessità di distinguere meglio tra il trattamento
dei dati effettuato dalle autorità di polizia e quello svolto dalle autorità giudiziarie 12, nonché
relativamente al disorientamento dovuto alle molteplici norme di protezione dei dati esistenti a livello
internazionale, europeo e nazionale13.
Non sono, da ultimo, mancate critiche generali sulle numerose lacune da colmare 14 o su problemi
relativi a specifiche incompatibilità con disposizioni vigenti a livello nazionale 15.
A corollario delle considerazioni appena svolte, si deve ricordare che l’Italia non ha ancora adottato
formalmente gli strumenti specifici di attuazione della Decisione quadro 2008/977/GAI, rinviando al
codice in materia di protezione dei dati personali, al codice di procedura penale e ad altri atti che
contengono disposizioni applicabili al trattamento dei dati nel settore del contrasto alla criminalità.
12
Slovacchia, vedi nota n. 9
Repubblica Ceca e Paesi Bassi, vedi nota n. 9
14
Polonia, vedi nota n. 9
15
Francia, vedi nota n. 9
13